Was ist passiert?
Eine chinesische Hackergruppe hat sich über mehr als ein Jahr hinweg in nordamerikanischen Netzwerken von medizinischen Einrichtungen, Universitäten und Militärforschungsorganisationen eingenistet. Die Angreifer nutzten eine Hintertür auf REDCap-Forschungsservern, um Anmeldedaten zu stehlen. Besonders perfide war ihre Methode zur Datenexfiltration: Sie rekonfigurierten die Google-Workspace-Regeln ihrer Opfer, um automatisch sensible E-Mails und Forschungsdaten zu kopieren und abzuleiten.
Hintergrund & Bedeutung
Diese Kampagne verdeutlicht eine wachsende Bedrohung durch staatlich unterstützte Cyberespionage gegen kritische Infrastrukturen. Der Missbrauch von Google-Workspace-Regeln ist besonders besorgniserregend, da Sicherheitsteams solche Regeländerungen oft nicht als verdächtig einstufen. REDCap ist eine weit verbreitete Plattform in der medizinischen Forschung – dadurch hatte die Gruppe Zugang zu wertvollen Forschungsergebnissen und möglicherweise militärischen Erkenntnissen. Die lange Verweildauer im Netzwerk (über ein Jahr) zeigt, wie schwierig Erkennung und Abwehr solcher gezielten Angriffe sind.
Empfehlungen für IT-Teams
Sofortige Maßnahmen:
- Überprüfen Sie alle Google-Workspace-Regeln auf unerwartete E-Mail-Weiterleitungen
- Implementieren Sie Multi-Faktor-Authentifizierung für alle Administratoren
- Prüfen Sie REDCap-Server auf Hintertüren und führen Sie ein Sicherheits-Audit durch
- Aktivieren Sie detailliertes Logging für alle E-Mail-Regeländerungen
- Implementieren Sie Conditional Access Policies zur Erkennung anomaler Aktivitäten
Fazit
Diese Attacke zeigt, dass Angreifer zunehmend native Cloud-Funktionen gegen ihre Opfer einsetzen. Organisationen müssen ihre Google-Workspace- und E-Mail-Sicherheit dringend überprüfen und erweiterte Überwachungsmechanismen etablieren.
Quelle: Original Artikel